Банда вымогателей Cl0p дорабатывает свою очередную кампанию и | SecAtor

Банда вымогателей Cl0p дорабатывает свою очередную кампанию и начинает публиковать на DLS имена жертв взлома Oracle E-Business Suite (EBS), которые, как предполагается, в конце сентября получили электронные письма с требованиями выкупа.

Хакеры перечислили около 30 пострадавших крупных компаний, включая Logitech, The Washington Post, Cox Enterprises, Pan American Silver, LKQ Corporation и Copeland.

Ранее мы уже упоминали некоторых в середине октября. Первыми засветились такие, как Гарвардский университет, Университет Витс (ЮАР) и Envoy Air. Все они подтвердили инциденты.

На прошлой неделе издание The Washington Post также подтвердило, что подверглось атаке в ходе кампании, но не предоставило никаких подробностей.

При этом большинство других предполагаемых жертв еще не подтвердили взлом или утечку данных, включая Schneider Electric и Emerson, а также всех вышеперечисленных.

Другими предполагаемыми жертвами стали компании в сфере промышленности, профессиональных услуг, ЖКХ, строительства, страхования, финансов, транспорта, технологий, автомобилестроения и энергетики. 

По всей видимости, все они ведут (или по крайней мере приступили) расследования, но делиться выводами точно не намерены. В связи с чем, Cl0p приступила к стадии слива украденных данных - на данном этапе в этом списке 18 жертв, чьи данные теперь доступны широкой публике.

Структурный анализ некоторых из утекших файлов указывает на то, что все они, вероятно, имеют непосредственное отношение к среде Oracle.

Вообще, учитывая предыдущие кампании Cl0p, связанные с Cleo, MOVEit и Fortra, сомневаться в легитимности утечек и серьезности намерений этой банды не приходится.

Но неизвестным пока остается другой момент: какие именно уязвимости Oracle EBS были использованы в ходе атаки.

Наиболее вероятными являются CVE-2025-61882 и CVE-2025-61884, поскольку обе могут быть проэксплуатированы удалённо без аутентификации или взаимодействия с пользователем для получения доступа к конфиденциальным данным.

Причем в случае CVE-2025-61882 эксплуатация в качестве 0-day, по-видимому, началась как минимум за два месяца до выпуска исправлений, что вполне соответствует почерку клопов.

Но будем посмотреть.